Dunia K9: Pentadbir Kluster

Sijil dan bila ia luput

Anda akan belajar: baca bila kad pengenalan pejabat luput, dan baharuinya sebelum itu berlaku.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Kubernetes 1.37 pada 1 Nov 2026

Masalahnya

Satu kluster kubeadm berjalan lancar selama setahun. Pagi ini pejabat berhenti berhubung. Tiada siapa ubah apa-apa. Apa punca yang mungkin?

Tengok

Anda di sini: kluster kind-dev namespace default

~ $ docker exec -it dev-control-plane bashroot@dev-control-plane:/# kubeadm certs check-expiration[check-expiration] Reading configuration from the "kubeadm-config" ConfigMap in namespace "kube-system"...[check-expiration] Use 'kubeadm init phase upload-config kubeadm --config your-config-file' to re-upload it.CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGEDadmin.conf                 Oct 31, 2027 00:54 UTC   364d            ca                      no      apiserver                  Oct 31, 2027 00:54 UTC   364d            ca                      no      apiserver-etcd-client      Oct 31, 2027 00:54 UTC   364d            etcd-ca                 no      apiserver-kubelet-client   Oct 31, 2027 00:54 UTC   364d            ca                      no      controller-manager.conf    Oct 31, 2027 00:54 UTC   364d            ca                      no      etcd-healthcheck-client    Oct 31, 2027 00:54 UTC   364d            etcd-ca                 no      etcd-peer                  Oct 31, 2027 00:54 UTC   364d            etcd-ca                 no      etcd-server                Oct 31, 2027 00:54 UTC   364d            etcd-ca                 no      front-proxy-client         Oct 31, 2027 00:54 UTC   364d            front-proxy-ca          no      scheduler.conf             Oct 31, 2027 00:54 UTC   364d            ca                      no      super-admin.conf           Oct 31, 2027 00:54 UTC   364d            ca                      no      CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGEDca                      Oct 28, 2036 00:54 UTC   9y              no      etcd-ca                 Oct 28, 2036 00:54 UTC   9y              no      front-proxy-ca          Oct 28, 2036 00:54 UTC   9y              no      root@dev-control-plane:/# exitexit

Setiap bahagian tunjuk kad pengenalan kepada yang lain. Setiap kad ada tarikh (luput). kubeadm certs check-expiration senaraikan semuanya.

Cuba

Jadual terakhir senaraikan penandatangan. Ketik baris yang tahan 9 tahun.

Ketik setiap penandatangan yang tahan 9 tahun.

0 daripada 3 dijumpai

(CA) tandatangan setiap kad. kubeadm buat CA-nya tahan sepuluh tahun.

Teka

Anda jalankan kubeadm certs renew all. Ia kata “renewed” untuk setiap kad. Tapi API server masih tunjuk kad lama. Kenapa?

Cuba

Baharui kad API server, kemudian semak tarikh semula. Renew ubah pejabat, jadi nota bahaya muncul.

Anda di sini: kluster kind-dev namespace default

dev-control-planeBukaPengurus

Tiada dulang di sini.

dev-workerBuka

Tiada dulang di sini.

dev-worker2Buka

Tiada dulang di sini.

Masa: +0s (dipercepat)

Semak

Susun hari membaharui sijil ikut urutan.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

Salin admin.conf baharu ke ~/.kube/config
kubeadm certs check-expiration
Mulakan semula pod control-plane: alih setiap manifest keluar, tunggu 20 s, alih balik
kubeadm certs renew all

Semak

Siapa yang pastikan setiap kad sentiasa baharu? Susun ikut kumpulan.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

Anda berjaya!

Kini anda boleh baca tarikh luput sijil dan baharuinya tepat pada masa.

Nak tahu lebih (pilihan)

kubeadm upgrade juga baharui sijil. Jadi naik taraf setiap tahun pastikan kad sentiasa baharu. Banyak pasukan juga pasang penggera sebulan sebelum tarikh itu.

Misi sebenar

Pada kluster kind latihan, baca tarikhnya. Ia cuma melihat.
docker exec <cluster>-control-plane kubeadm certs check-expiration
Baharui satu kad pada kluster latihan itu.
docker exec <cluster>-control-plane kubeadm certs renew apiserver
Baca tarikh semula. Cari yang baharu.
docker exec <cluster>-control-plane kubeadm certs check-expiration

0 daripada 3 langkah siap · Tanda anda disimpan.